VMware Spring Cloud Gateway のコードインジェクションの脆弱性（CVE-2022-22947）

何が起きた

Spring Cloud Gateway で、Gateway Actuator のエンドポイントが有効で、外から使え、守られていない場合に、コードインジェクションの弱点が見つかりました。攻撃者は細工した要求を送ることで、サーバーの上で任意のコード（攻撃者が好きに選べるプログラム）を実行できるおそれがあります。この弱点は実際の攻撃で悪用されたことが確認されています。NVD の評価では、ログイン不要で、離れた場所からネットワーク経由で悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Spring Cloud Gateway を使ったアプリケーションを運用している組織が対象です。Spring の公式情報では、3.1.0 と 3.0.6 以前が影響を受けます。

何をすればいい

修正版の 3.1.1 または 3.0.7 以降に更新されているか確認してください。Gateway Actuator のエンドポイントが不要なら、management.endpoint.gateway.enabled: false で無効にしてください。必要な場合は、Spring Security を使って守るよう Spring は案内しています。あわせて Spring の公式の案内を確認してください。

やることチェックリスト

• 3.1.1 または 3.0.7 以降に更新する
• 不要な Gateway Actuator を無効にする
• 必要な Actuator は Spring Security で守る

用語メモ

コードインジェクション

入力の中にプログラムをまぎれこませて、サーバーに実行させてしまう攻撃です。

エンドポイント

外から要求を受け付ける、アプリケーションの窓口となる場所です。

Spring Security

Spring で作ったアプリケーションに、ログインや権限の確認などの守りを加える仕組みです。